2. 容器镜像基础：镜像分层原理
容器镜像是云原生应用交付的核心单元，理解其底层分层机制是进行镜像安全扫描、策略即代码（Policy-as-Code）资源配额建模的前提。本节将深入剖析 UnionFS 与 OverlayFS 的联合挂载原理、Layer 的只读特性以及构建缓存机制，帮助你在后续章节中精准定位安全漏洞层、优化镜像构建效率。
2.1 联合文件系统（UnionFS）与 OverlayFS
容器镜像由多个只读层（Layer）堆叠而成，这种堆叠能力依赖于联合文件系统（Union Filesystem）。Docker 早期使用 AUFS（Another Union File System），现代主流运行时（如 containerd、CRI-O）则默认采用 OverlayFS（特别是 Overlay2 驱动）。
核心概念：联合挂载（Union Mount）将多个目录（分支）合并为一个统一的视图，上层文件会“覆盖”下层同名文件，但下层文件本身不会被修改。
2.1.1 OverlayFS 关键特性对比
| 特性 | AUFS | OverlayFS（Overlay2） |
|---|---|---|
| 内核支持 | 未合入主线内核，需额外补丁 | 自 Linux 3.18 起合入主线 |
| 层数限制 | 最多 127 层 | 最多 128 层（实际建议 ≤ 64） |
| 性能 | 中等，inode 消耗较高 | 低延迟，页缓存共享更高效 |
| 写时复制（CoW） | 支持 | 支持（通过 upperdir 实现） |
| Docker 默认驱动 | 早期默认（已弃用） | 当前默认（推荐） |
2.2 Layer 的只读特性与写时复制（Copy-on-Write）
容器镜像的所有中间层（Layer）在构建完成后均为 只读（Read-Only）。当容器运行时需要修改某个文件时，OverlayFS 会执行 写时复制（Copy-on-Write, CoW） 操作：将文件从下层只读层复制到容器层（可读写层），然后在容器层进行修改。下层原始文件保持不变。
安全启示：镜像扫描时，如果某个漏洞文件位于深层只读层，即使上层容器层存在该文件的副本，漏洞依然存在。扫描工具必须遍历所有只读层，不能仅检查容器层。
2.2.1 CoW 操作流程
- 查找文件：容器进程请求访问 /etc/nginx/nginx.conf。
- 联合搜索：OverlayFS 从 upperdir（容器层）开始向下搜索 lowerdir（镜像层）。
- 写操作触发：如果文件在 lowerdir 中找到且需要修改，OverlayFS 将文件内容复制到 upperdir。
- 修改生效：后续所有读写操作均指向 upperdir 中的副本，lowerdir 原文件保持只读。
2.3 镜像构建缓存机制
Docker 构建镜像时，每条 RUN、COPY、ADD 指令都会生成一个新的只读层。构建缓存（Build Cache）机制通过比较指令的哈希值，复用之前构建的中间层，从而大幅加速重复构建。
2.3.1 缓存命中条件
| 指令类型 | 缓存键（Cache Key） | 命中条件 |
|---|---|---|
FROM |
基础镜像 ID + 标签 | 基础镜像完全一致 |
RUN |
命令字符串 + 父层 ID | 命令文本完全相同 |
COPY / ADD |
源文件内容哈希 + 目标路径 + 父层 ID | 文件内容与元数据（权限、时间戳）一致 |
ENV |
变量名 + 变量值 + 父层 ID | 键值对完全匹配 |
常见缓存失效陷阱：
COPY . .会引入整个构建上下文，任何文件变更（包括.git目录、临时文件）都会导致缓存失效。RUN apt-get update后未清理/var/lib/apt/lists/*，导致层体积膨胀且缓存难以复用。- 使用
--no-cache或--pull强制跳过缓存，应仅在需要强制更新基础镜像时使用。
2.3.2 优化缓存利用的 Dockerfile 最佳实践
# 1. 将变化频率最低的指令放在前面
FROM node:18-alpine AS builder
# 2. 先复制依赖描述文件，利用缓存安装依赖
COPY package.json package-lock.json ./
RUN npm ci --only=production
# 3. 最后复制源代码（变化最频繁）
COPY src/ ./src/
RUN npm run build
# 4. 多阶段构建：最终镜像只包含运行时产物
FROM node:18-alpine
COPY --from=builder /app/dist /app
CMD ["node", "server.js"]2.4 分层机制对安全扫描与资源配额的影响
理解分层原理后，我们可以得出以下关键结论：
- 扫描深度：安全扫描器必须逐层解压并分析所有只读层，不能仅扫描容器层。CVE 可能隐藏在基础层或中间层。
- 层复用与配额：在策略即代码模型中，可以基于层的历史扫描结果建立“信任缓存”。如果某层在过去 N 次扫描中未发现高危漏洞，可跳过重复扫描，节省计算资源。
- 资源配额建模：镜像层数越多，CoW 开销越大。在资源配额策略中，可以限制最大层数（例如 ≤ 32 层），避免过度分层导致 I/O 性能下降。